KVKK tüm veri sorumluları için aynı kuralları koyar, ancak bu kuralların hangi veriye uygulanacağı sektöre göre tamamen değişir. Bir hastanede hasta dosyası, bir fabrikada işyeri hekimi kayıtları, bir e-ticaret sitesinde davranışsal profilleme, bir otelde kimlik bildirim yükümlülüğü uyumun ağırlık merkezini oluşturur. Bu nedenle uyum programı genel bir şablonla değil, sektörün fiilen işlediği veri kategorileri üzerinden kurulmalıdır.
KVKK'nın maddeleri sektöre göre değişmez; değişen, o maddelerin hangi veriye ve hangi sürece uygulanacağıdır. Uyum programını sektöre göre kurmak üç noktada somut fark yaratır.
Bir fabrikada envanterin ağırlığı işyeri hekimi kayıtlarında, bir e-ticaret sitesinde üçüncü taraf çerezlerde, bir otelde kimlik bildiriminde toplanır. Genel bir şablonla çıkarılan envanter, sektörün asıl veri yığınını ıskalar.
Çoğu sektörde KVKK tek başına çalışmaz: iş sağlığı ve güvenliği, elektronik haberleşme, 5651, kimlik bildirimi, mali suçların önlenmesi ve gıda güvenliği düzenlemeleri veri işlemeyi ayrıca düzenler. İki çerçeve birlikte okunmadan doğru dayanak kurulamaz.
Sağlıkta erişim izlenebilirliği, lojistikte teslimat kanıtı görselleri, tekstilde denetim dosyasıyla yurt dışına çıkan bordrolar ilk sırada yer alır. Önceliklendirme, sınırlı bütçenin nereye harcanacağını belirler.
Uyumun ağırlık merkezi çalışan verisidir: iş sağlığı ve güvenliği mevzuatının zorunlu kıldığı sağlık gözetimi kayıtları, vardiya ve giriş kontrol sistemleri, taşeron zinciri.
Sağlık gözetimi, maruziyet kayıtları ve tesis güvenliği verisinin KVKK m.6 tedbirleriyle yönetimi.
Detaya GitAdvers etki bildirimleri, klinik araştırma verisi ve hekim ziyaret kayıtlarının korunması.
Detaya Gitİstenmeyen etki bildirimleri, cilt analizi verisi ve pazarlama izinlerinin ayrıştırılmış yönetimi.
Detaya GitPortör ve hijyen sağlık kayıtları, tüketici şikâyetleri ve izlenebilirlik verisinin korunması.
Detaya GitSosyal uygunluk denetimleri, fason atölye zinciri ve üretim takip verisinin yönetimi.
Detaya GitPDKS, kamera, işyeri hekimi dosyaları ve taşeron zincirindeki çalışan verisinin yönetimi.
Detaya GitBağlantılı araç telemetrisi, servis geçmişi ve bayi ağı verisinin uçtan uca yönetimi.
Detaya GitVeri, hizmetin yan ürünü değil kendisidir: tüketim profili, konum ve rota kayıtları, kamera ve geçiş sistemleri. Özel mevzuat çoğu zaman KVKK'ya paralel yürür.
Akıllı sayaç tüketim profili, abone-tahsilat kayıtları ve kritik altyapı güvenliğinin birlikte yönetimi.
Detaya GitŞantiye giriş kayıtları, taşeron personeli ve İSG sağlık dosyalarının çok işverenli sahada yönetimi.
Detaya GitYolcu listeleri, trafik-konum verisi ve 5651 log yükümlülüğünün birlikte yönetimi.
Detaya GitAlıcı adres verisi, teslimat kanıtı kayıtları ve kurye izleme sistemlerinin yönetimi.
Detaya GitKamera ve plaka tanıma sistemleri, biyometrik geçiş ve ziyaretçi kayıtlarının yönetimi.
Detaya GitRisk, müşteriyle kurulan çok sayıda küçük temasın birleştirilmesinden doğar: sadakat programları, mağaza içi izleme, teslimat adresi ve pazarlama izinleri.
Sadakat programı profillemesi, mağaza içi izleme sistemleri ve pazarlama izinlerinin yönetimi.
Detaya GitÇerez rıza yönetimi, üçüncü taraf pikseller ve pazaryeri-kargo veri paylaşımının yönetimi.
Detaya GitEve teslim ve montaj zincirinde adres, iç mekân görseli ve bayi veri paylaşımının yönetimi.
Detaya GitKimlik bildirimi, misafir tercih profilleri ve rezervasyon platformu paylaşımlarının yönetimi.
Detaya GitÇoğu kuruluş kendi verisinden çok başkasının verisini işler. Veri sorumlusu mu veri işleyen mi olunduğunun tespiti, uyum programının çıkış noktasıdır.
Hasta dosyaları, görüntüleme arşivi ve entegrasyonlarda özel nitelikli verinin korunması.
Detaya GitMüşteri tanıma yükümlülükleri, kredi skorlaması ve otomatik kararların KVKK ile uyumlu kurgusu.
Detaya GitÇocuk verisi, veli rızası, rehberlik dosyaları ve uzaktan eğitim platformlarının yönetimi.
Detaya GitVeri işleyen sıfatı, canlı veriyle test yasağı, log yönetimi ve bulut aktarımının yönetimi.
Detaya GitMüşteri verisine erişim, bordro-mali müşavirlik süreçleri ve proje arşivinin yönetimi.
Detaya GitGazetecilik istisnasının sınırı, haber arşivi, unutulma hakkı ve izleyici verisinin yönetimi.
Detaya GitRandevu ve müşteri kayıtları, çağrı merkezi ve saha ekiplerinin veri düzeninin kurulması.
Detaya GitÖzel nitelikli üyelik verisi, bağışçı kayıtları ve yararlanıcı başvurularının korunması.
Detaya GitKVKK m.6'daki özel nitelikli kişisel veriler, işlenmesi kural olarak açık rızaya ya da kanunda öngörülen hâllere bağlı olan ve Kurul'un belirlediği ek güvenlik tedbirlerini gerektiren verilerdir. Aşağıdaki döküm, sektör sayfalarındaki veri envanterlerinden türetilmiştir; her satır o sektörde özel nitelikli veri doğuran kategorileri gösterir.
Bazı uyum sorunları sektör sınırı tanımaz; farklı işlerde aynı biçimde karşımıza çıkar. Sektörünüzü değil sorununuzu biliyorsanız buradan başlayabilirsiniz.
İşyeri hekimi dosyaları, portör muayeneleri, hasta kayıtları ve tüketici rahatsızlık bildirimleri KVKK m.6 rejimine tabidir. Ortak hata, bu kayıtların genel İK veya CRM sistemlerinde tutulmasıdır.
Güvenlik amacıyla kurulan sistemler kolayca sürekli çalışan izlemesine dönüşür. Biyometrik geçişte ise daha az müdahaleci bir yöntem mümkünse ölçülülük testini geçmek zordur.
Alt yüklenici personelinin kimlik, sağlık ve eğitim belgeleri çoğu sahada mesajlaşma uygulamalarıyla, yazılı bir dayanak olmadan dolaşır. Sıfat tespiti ve protokol şarttır.
Marka denetimleri, global merkez raporlaması ve yurt dışı bulut hizmetleri birer sınır ötesi aktarımdır. Grup içinde olmak veya sözleşmeden doğmak, ayrı bir hukuki dayanak ihtiyacını ortadan kaldırmaz.
Hizmet için alınan iletişim bilgisinin kampanya listesine eklenmesi amaç dışı kullanımdır. Satın alma geçmişinden yapılan çıkarımlar ise özel nitelikli veriye yaklaşabilir.
Müşterisi adına veri işleyen kuruluşlarda yükümlülük azalmaz, değişir: yazılı sözleşme, talimata bağlılık, alt yüklenici bildirimi ve ihlalde gecikmesiz bildirim.
Sektör değişse de yöntem aynıdır: önce sahadaki fiilî işleyiş görülür, sonra mevzuatın gerektirdiği asgari düzene indirilir. Aşağıdaki beş adım her sektörel programda aynı sırayla uygulanır; farklılaşan yalnızca ilk adımın kapsamıdır.
Sektörünüzün süreçleri yerinde incelenir; hangi kaydın nerede, kim tarafından tutulduğu saha turu ve birim görüşmeleriyle doğrulanır.
Tüm veri işleme faaliyetleri; veri kategorisi, hukuki sebep, saklama süresi, alıcı grubu ve aktarım kırılımıyla çıkarılır.
Mevcut durum mevzuatla karşılaştırılır; açıklar ihlal olasılığı ve etkisine göre önceliklendirilir.
Politika, aydınlatma metni, sözleşme seti ve VERBİS adımları hazırlanıp uygulamaya alınır.
İlgili ekiplere rol bazlı eğitim verilir; periyodik gözden geçirme takvimi kuruma devredilir.
Aşağıdaki belgeler sektörden bağımsız olarak her uyum programının çıktısıdır. Sektöre özgü ek çıktılar (ör. sağlık kaydı erişim protokolü, denetim veri paylaşım çerçevesi) ilgili sayfada ayrıca listelenir.
Kanun tüm veri sorumluları için aynıdır; değişen, kanunun uygulanacağı veri ve süreçlerdir. Sağlıkta hasta verisi, finansta müşteri tanıma yükümlülüğü, turizmde kimlik bildirimi, üretimde işyeri hekimi kayıtları uyumun ağırlık merkezini belirler. Ayrıca birçok sektörde KVKK'nın yanında kendi özel mevzuatı da veri işlemeyi düzenler; iki çerçeve birlikte okunmadan doğru bir program kurulamaz.
Listedeki sayfalar en sık çalıştığımız sektörleri kapsar; uyum metodolojisi sektörden bağımsız olarak aynıdır. Kendi faaliyetinize en yakın sayfayı inceleyip iletişime geçebilir ya da KVKK Uyum Testi ile mevcut durumunuzu yedi başlıkta ölçerek başlayabilirsiniz. Keşif görüşmesinde kapsam sizin süreçlerinize göre belirlenir.
Uyum programı tüzel kişilik ve süreç bazında kurulur, sektör etiketiyle sınırlı değildir. Örneğin üretim yapan ve aynı zamanda kendi e-ticaret sitesinden satış yapan bir şirkette hem üretim hem e-ticaret süreçleri envantere girer. Sektör sayfaları bu durumda kontrol listesi işlevi görür; kapsam keşif aşamasında birleştirilir.
Süre; çalışan sayısı, lokasyon sayısı, işlenen verinin niteliği ve mevcut dokümantasyonun durumuna göre değişir. Özel nitelikli veri işlemeyen orta ölçekli bir işletmede altı ile on hafta arasında tamamlanabilirken, çok lokasyonlu veya sağlık verisi işleyen yapılarda süre uzar. Keşif görüşmesinin çıktısı, kendi yapınıza göre çıkarılmış bir takvimdir.
KVKK m.6 özel nitelikli verileri tek tek sayar: sağlık ve cinsel hayat, ırk ve etnik köken, siyasi düşünce, felsefi inanç, din ve mezhep, kılık kıyafet, dernek, vakıf ya da sendika üyeliği, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik veriler. Uygulamada bunlar çoğu zaman fark edilmeden toplanır: işyeri hekimi dosyaları, portör muayeneleri, engellilik raporları, parmak izli turnikeler ve dernek üye listeleri bu kapsamdadır. Sayfadaki döküm, hangi sektörde hangi kategorinin doğduğunu gösterir.
Metodoloji aynıdır; kapsam ve öncelik farklıdır. Genel bir program tüm veri sorumluları için ortak olan adımları kurar: envanter, aydınlatma, saklama-imha, güvenlik tedbirleri. Sektörel program bunların üzerine, o sektörde riskin fiilen yoğunlaştığı noktaları ekler ve sıralamayı değiştirir. Sağlıkta erişim izlenebilirliği, tekstilde denetim dosyasının yurt dışına aktarımı, e-ticarette çerez rızası ilk sıraya çıkar. Sonuç, aynı bütçeyle daha yüksek risk azalması olur.
Hayır. Kayıt yükümlülüğü; çalışan sayısı, yıllık mali bilanço büyüklüğü ve işlenen verinin niteliği üzerinden belirlenen kriterlere bağlıdır. Ana faaliyeti özel nitelikli kişisel veri işlemek olan veri sorumluları için ayrı bir eşik uygulanır. Değerlendirme şirket bazında yapılır ve her hâlde kayıttan önce veri envanterinin tamamlanmış olması gerekir; envantersiz kayıt hatalı beyan riski taşır.
Uyum metodolojisi sektörden bağımsız olarak aynıdır. KVKK Uyum Testi ile mevcut durumunuzu yedi başlıkta ölçün; sektörünüze özgü öncelikleri keşif görüşmesinde birlikte netleştirelim.
KVKK Rehberi, Rasyo Holding bünyesinde faaliyet gösteren “Siber Güvenlik ve KVKK Danışmanlığı” markasıdır
